Offre — Audit de sécurité
Audit de sécurité web de votre site ou application
Les attaquants automatisent désormais la recherche de failles avec l’IA. L’audit applique les mêmes techniques à votre application, avec méthode et dans un cadre écrit, pour vous dire précisément où elle est exposée et dans quel ordre corriger.
Les situations qui appellent un audit
Avant la mise en ligne d’une nouvelle application, après le départ du prestataire qui l’avait développée, à la demande d’un grand client qui exige des garde-fous, ou simplement parce qu’un incident récent a semé le doute : un regard extérieur et outillé permet de mesurer le risque réel plutôt que de le supposer. L’audit porte aussi bien sur une application développée par Vertigo Dev que sur un outil conçu par un tiers.
Le contenu de l’audit
- une revue du code source et de la configuration, appuyée sur le référentiel OWASP ;
- l’analyse des dépendances et des vulnérabilités publiquement connues qui les concernent ;
- le contrôle des accès : authentification, sessions, droits par rôle, exposition d’identifiants ;
- la recherche d’injections, de fuites de données et d’erreurs de configuration du serveur ;
- des tests d’intrusion sur autorisation écrite du propriétaire, limités au périmètre et à la période convenus ;
- un rapport hiérarchisé par niveau de risque, avec des recommandations concrètes et réalistes.
Des attaques assistées par l’IA, encadrées par l’expérience
L’IA explore en quelques heures des combinaisons qu’un humain mettrait des jours à tester : variantes de requêtes, enchaînements de pages, paramètres oubliés. Elle produit aussi beaucoup de fausses alertes. Mon rôle est de trier, de reproduire chaque constat à la main et d’en mesurer l’impact réel sur votre activité, pour que le rapport ne contienne que des points vérifiés.
Les tests d’intrusion ne sont réalisés que sur autorisation écrite du propriétaire du système, qui précise le périmètre, les dates, les personnes à prévenir et les conditions d’arrêt. Sans ce document signé, seule l’analyse du code et de la configuration est possible.
Déroulement d’une mission d’audit
Convention d’audit signée
Périmètre, environnements visés, calendrier et contacts d’urgence sont fixés par écrit avant toute action.
Analyse outillée puis manuelle
Les outils automatisés balaient l’application, puis chaque piste prometteuse est approfondie à la main.
Restitution commentée
Une réunion présente les constats aux équipes techniques et à la direction, avec un langage adapté à chacun.
Contre-vérification
Une fois les corrections faites, les points critiques sont testés de nouveau pour confirmer leur résolution.
Corriger, puis rester vigilant
Un audit est une photographie à un instant donné. La maintenance et les mises à jour de sécurité prolongent l’effort en appliquant les correctifs au fil des publications. Lorsque les failles tiennent à la conception même de l’outil, le développement d’une application web sur mesure peut s’avérer plus sûr qu’une succession de rustines. Pour en savoir plus sur la personne qui mène l’audit, consultez la présentation de Vertigo Dev.
Faites le point sur l’exposition de votre application
Indiquez l’adresse de l’application, la technologie utilisée si vous la connaissez et la raison de votre demande : je vous propose un périmètre d’audit et un modèle d’autorisation écrite.